Ativa Consultoria Sistema / Artigos / 8 erros de segurança básica que deixam o escritório pequeno exposto
8 erros de segurança básica que deixam o escritório pequeno exposto
Em escritórios pequenos da zona oeste de São Paulo, como uma contabilidade na Lapa, uma clínica em Pirituba ou uma distribuidora no Jaraguá, a segurança da informação costuma ficar para depois, porque o dia a dia já ocupa todo mundo. O problema é que os incidentes mais comuns quase nunca exigem um ataque sofisticado. Eles nascem de hábitos pequenos que se repetem por anos. A Ativa Consultoria Sistema reuniu abaixo oito erros frequentes em empresas com cinco a cinquenta pessoas, o que cada um provoca e o que costuma resolver. O conteúdo é editorial e serve para a equipe conversar sobre o assunto com mais clareza.
1. Senha compartilhada no post-it do monitor. É comum o login do sistema financeiro, do banco ou do e-mail principal circular entre três ou quatro pessoas, anotado em papel ou numa planilha aberta. Quando alguém sai da empresa, ninguém troca a senha, e o ex-funcionário continua com acesso por meses. O caminho mais simples é cada pessoa ter o próprio usuário, com permissões de acordo com a função, e usar um gerenciador de senhas para guardar as credenciais da empresa. Assim, desligar alguém vira uma tarefa de minutos, e não uma caça a anotações espalhadas pelas mesas do escritório.
2. Autenticação em duas etapas desligada. Boa parte dos serviços usados por pequenas empresas, como e-mail corporativo, armazenamento em nuvem, redes sociais e sistema de gestão, já oferece a verificação em duas etapas, mas ela raramente vem ativada por padrão. Com ela ligada, uma senha vazada sozinha deixa de abrir a conta. Vale começar pelas contas de administrador e pelo e-mail de quem cuida do financeiro, que são as mais visadas em golpes de troca de dados bancários. Prefira aplicativo autenticador ou chave física ao código por SMS, que depende do chip do celular e pode ser transferido por terceiros mal-intencionados.
3. Atualizações adiadas indefinidamente. O aviso de atualização aparece na segunda-feira de manhã, alguém escolhe lembrar depois e o computador passa meses sem correções de segurança. Isso vale para o sistema operacional, o navegador, o leitor de PDF e o firmware do roteador, que quase ninguém lembra que existe. Uma rotina viável é definir um dia fixo do mês, no fim do expediente, para instalar o que estiver pendente e reiniciar todas as máquinas. Computadores cujo sistema já não recebe correções do fabricante devem entrar no planejamento de troca de equipamentos, com valor previsto no custo mensal de TI.
4. Antivírus instalado e esquecido. Ter um programa de proteção instalado não significa que ele esteja funcionando. Licenças vencem, a versão de teste expira, alguém desativa a proteção para instalar um programa e não religa depois. Em empresas com mais de cinco máquinas, uma solução com painel central ajuda a ver, em um só lugar, quais computadores estão protegidos e quais pararam de receber atualização. Também convém registrar no inventário de equipamentos a data de renovação de cada licença, para que o vencimento não pegue a equipe de surpresa justamente num mês de caixa apertado.
5. Backup que nunca foi testado. Muitas empresas fazem cópia dos arquivos num HD externo que fica ligado o tempo todo ao próprio servidor, ou confiam que está tudo na nuvem sem saber o que exatamente está sendo copiado. Um HD conectado permanentemente pode ser atingido pelo mesmo programa malicioso que criptografa o servidor. A regra prática conhecida como 3-2-1 sugere três cópias, em dois tipos de mídia, com uma delas fora do escritório. E, uma vez por trimestre, alguém deve tentar recuperar uma pasta de verdade: só assim se descobre se a cópia realmente funciona quando for necessária.
6. Rede Wi-Fi única para todo mundo. No escritório da Freguesia do Ó ou de Pirituba onde o cliente espera na recepção, é frequente que visitantes recebam a mesma senha do Wi-Fi usada pelos computadores e pela impressora da equipe. Isso coloca dispositivos desconhecidos na mesma rede dos arquivos internos. A maioria dos roteadores atuais permite criar uma rede de convidados separada, com senha própria e sem acesso às pastas compartilhadas. Também vale trocar a senha de administração do roteador, que muitas vezes continua a de fábrica, e anotar em local seguro quem é o responsável por esse equipamento.
7. Dados de clientes guardados sem critério. A LGPD na prática, para uma pequena empresa, começa por saber quais dados pessoais ela guarda, onde e por quanto tempo. Fichas antigas em pastas compartilhadas, planilhas com CPF enviadas por e-mail e fotos de documentos no celular de vendedores são situações comuns. Um mapeamento simples, feito em uma tarde, já mostra o que pode ser apagado, o que precisa de acesso restrito e quem deve ser o ponto de contato para pedidos de titulares. Menos dados guardados significa menos exposição se algum incidente acontecer.
8. Equipe que nunca ouviu falar do assunto. Nenhuma das medidas anteriores se sustenta se as pessoas não entendem o motivo de cada uma. Golpes por e-mail e mensagem imitam fornecedores, bancos e até o próprio dono da empresa pedindo uma transferência urgente. Conversas curtas, de quinze minutos, a cada dois ou três meses, com exemplos reais que chegaram à caixa de entrada da equipe, costumam surtir mais efeito que um manual longo. Para empresas que vão da Lapa a Barueri e Osasco, o passo inicial é escolher um desses oito pontos e resolvê-lo neste mês, em vez de tentar mudar tudo de uma vez.